Rails7多部署环境如何配置独立Master Key与凭证文件？

根本不用手动维护多套文件写脚本拷贝，Rails 原生就支持分环境的独立 credentials 配置，是官方推荐的方案，完全满足你不同环境用独立 MASTER_KEY、不串配置的需求。

具体操作步骤 #

• 生成 staging 环境专属的加密配置和密钥
  直接在本地项目根目录执行命令：

  EDITOR=vim rails credentials:edit --environment staging
  

  命令执行后 Rails 会自动生成两个文件：

  • config/credentials/staging.key：staging 环境专属的解密密钥，也就是你要单独用的 MASTER_KEY，这个文件绝对不要提交到代码仓库
  • config/credentials/staging.yml.enc：staging 环境的加密配置文件，可以放心提交到 Git 仓库随代码部署

• 迁移配置内容
  不用手动逐行重录配置，先执行EDITOR=vim rails credentials:edit打开现有通用配置，把所有内容复制出来，再打开刚生成的 staging 配置编辑页粘贴进去，只需要修改 staging 环境和开发/测试环境有差异的配置项（比如数据库密码、第三方服务密钥等），保存退出即可。

• 服务器端配置
  不需要额外拷贝任何 credentials 文件，staging.yml.enc随代码一起部署到服务器就行。你只需要在 staging 服务器的环境变量里，把RAILS_MASTER_KEY的值设置为刚生成的staging.key文件里的内容即可。
  Rails 启动时会自动根据当前RAILS_ENV的值匹配对应环境的加密配置：当RAILS_ENV=staging时，会自动加载config/credentials/staging.yml.enc，优先读取环境变量里的RAILS_MASTER_KEY解密，完全不会和开发、测试环境的密钥、配置冲突。

为什么不推荐你之前考虑的方案 #

• 在服务器上重新生成空配置手动录入：配置容易遗漏，后续修改配置必须登录服务器操作，维护成本高，也没法做配置版本管理
• 本地生成多套文件写脚本拷贝：属于重复造轮子，Rails 已经内置了分环境配置的加载逻辑、目录规范，额外写的拷贝脚本需要长期维护，换部署方式（比如切 Docker、换 CI/CD 流程）的时候还要额外适配，完全没必要。

注意：记得把所有config/credentials/*.key路径都加到.gitignore里，避免密钥泄露。如果后续生产环境也要独立密钥，只需要执行EDITOR=vim rails credentials:edit --environment production生成生产环境专属的配置和密钥即可，业务代码里读取配置的方式完全不用改，还是用Rails.application.credentials.你的配置项名就能拿到当前环境对应的配置值，零侵入。

内容的提问来源于stack exchange，提问作者EastsideDev